kiedys w uzyciu byl taki modul - pam_iptables. rozdajesz po dhcp kazdemu nowe ip przy podlaczeniu, a potem koles ktory zaplacil loguje sie na gateway i pam puszcza go przez ogniomurek. jak sie rozlaczy, to ogniomurek odcina dostep. osoby ktory oplacily dostep, przysylaja swoje klucze publiczne i dorzuca sie je na bramke.